CVE-2023-49987

School Fees Management System v1.0 - Vulnerabilità Cross-Site Scripting (XSS) nel parametro "tname" su "new_term"

Descrizione: Una vulnerabilità di cross-site scripting (XSS) nel componente "new_term" di School Fees Management System 1.0 consente a un utente malintenzionato di eseguire script web arbitrari o HTML tramite un payload appositamente creato iniettato nel parametro "tname".

Versione del prodotto vulnerabile: School Fees Management System v1.0
Autore CVE: Geraldo Alcântara
Data: 28/11/2023
Confermato il: 19/12/2023
CVE: CVE-2023-49987
Testato su: Windows

Passaggi per riprodurre:

Per sfruttare la vulnerabilità, un utente con permessi appropriati deve accedere alla pagina "/ci_fms/admin/management/term". Su questa pagina, l'utente deve modificare un termine esistente o aggiungerne uno nuovo. Il payload malevolo deve essere inserito nel parametro "tname" durante questa operazione. Payload::

<script>alert(document.domain)</script>

Scopritore(i)/Crediti: Geraldo Alcântara